'Maior hack da história': Binance estima US$ 6,3 bilhões em perdas e promete cobrir todo prejuízo
Investigação preliminar aponta o notebook comprometido de um engenheiro de DevOps como porta de entrada; cerca de US$ 3 bilhões já foram congelados, segundo a corretora.
- TRM Labs e Chainalysis atribuem o roubo ao TraderTraitor, unidade hacker ligada ao Estado norte-coreano.
- Saques seguem suspensos, com retomada prevista em até 48 horas; depósitos funcionam normalmente, segundo a Binance.
A Binance, maior corretora de criptomoedas do mundo em volume e número de clientes, estima em cerca de US$ 6,3 bilhões o impacto total do ataque hacker sofrido na quinta-feira, 29 de outubro. Trata-se do maior roubo de criptoativos jamais registrado. Em nota oficial publicada na noite de quinta, a empresa informa que a investigação inicial aponta para o notebook comprometido de um engenheiro de DevOps, área que reúne desenvolvimento e operação de sistemas. O acesso permitiu ao atacante entrar em um contêiner de serviço, ambiente isolado em que roda parte dos sistemas da corretora, e enviar transações de saque não autorizadas.
A Binance afirma não ter encontrado evidência de vazamento de chaves privadas de carteiras. Segundo a nota, cerca de US$ 3 bilhões já foram congelados na blockchain com ajuda de parceiros, e as perdas serão cobertas pelo SAFU (Secure Asset Fund for Users), fundo de emergência da corretora, e por recursos próprios da empresa. A Binance revogou a autorização do endereço afetado e acionou autoridades policiais e empresas de inteligência de blockchain para rastrear e recuperar os fundos.
O co-CEO Richard Teng repetiu no X que as conclusões preliminares indicam o notebook do engenheiro como ponto de partida e que nenhuma evidência de vazamento de chave privada foi encontrada:
"Para deixar claro: o atacante não usou simplesmente as permissões de um engenheiro, e isso não foi uma única ação de 'um clique'. (...) Nossa investigação não atribuiu responsabilidade a nenhum indivíduo."
Em atualização publicada na manhã desta sexta-feira (30), a Binance informou que a investigação encontrou "pontos adicionais de violação" além do notebook e que segue investigando os fatos com as autoridades policiais. A corretora não detalhou esses pontos.
De acordo com a TRM Labs, empresa de inteligência de blockchain, US$ 6,36 bilhões deixaram carteiras da Binance em dez blockchains, considerando o preço dos ativos no momento do ataque. O valor é cerca de quatro vezes o dos US$ 1,5 bilhão levados da Bybit em fevereiro de 2025, até então o maior hack do setor.
Ataque foi preparado 36 horas antes, segundo a TRM LabsO ataque começou às 17h05 de quinta-feira e drenou a maior parte dos recursos em cerca de 20 minutos das redes Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche e Polygon, segundo a TRM. A preparação começou ao menos 36 horas antes, com três saques do Tornado Cash, misturador que dificulta o rastreamento de transações, na manhã de 28 de outubro, e transferências de teste para carteiras do próprio hacker.
Na Ethereum, o hacker usou o EIP-7702, padrão da rede que permite a uma carteira delegar o controle a um contrato inteligente, para transformar uma carteira quente da Binance, conectada à internet, em um repassador de fundos sob seu comando. O hacker preparou 50 autorizações pré-assinadas, cada uma para um nonce, o número sequencial das transações da carteira, de modo que uma delas fosse válida no momento da execução. Uma única transação, às 17h24, retirou 167.464 ETH e outros 63 tokens, entre eles 1,615 bilhão de USDT.
A TRM avalia que a causa mais provável do ataque é o comprometimento da infraestrutura que assina as transações das carteiras quentes da Binance. A Blockaid contou 11 chaves de carteiras quentes da corretora assinando transferências para um endereço criado minutos antes.
TRM e Chainalysis apontam grupo norte-coreano TraderTraitorA TRM atribui o ataque, "com alto grau de confiança", ao TraderTraitor, unidade hacker ligada ao Estado norte-coreano, também rastreada como Lazarus Group e APT38. O FBI (Federal Bureau of Investigation, a polícia federal dos EUA) apontou o mesmo grupo como autor do ataque à Bybit. A Chainalysis referendou a conclusão da TRM com "alto grau de confiança". A Binance não nomeou os responsáveis e afirma trabalhar com as autoridades policiais para confirmar a identidade dos criminosos e levá-los à Justiça.
O investigador de dados on-chain ZachXBT identificou na madrugada desta sexta-feira recursos roubados da Binance e da Bitget reunidos no mesmo endereço, depois de passarem pelo THORChain, protocolo que permite a troca de ativos entre blockchains diferentes. Segundo o investigador, o ataque à Bitget foi atribuído ao TraderTraitor, grupo que tem sobreposição com ataques anteriores, como o do Kelp DAO. "Isso indica que o mesmo agente provavelmente está por trás dos dois incidentes", escreveu ZachXBT no X.
A Bitget detectou em 24 de setembro transferências não autorizadas de carteiras quentes, com perda de US$ 388 milhões, segundo a CEO Gracy Chen. A executiva atribuiu o ataque a uma vulnerabilidade em um produto de segurança de terceiros, que deu ao invasor credenciais internas de alto nível usadas para emitir ordens fraudulentas de saque.
Tether e Circle respondem pela maior parte dos US$ 3 bilhões congeladosUSDT e USDC têm emissores centralizados, capazes de bloquear tokens em endereços específicos da blockchain. Paolo Ardoino, CEO da Tether, informou o congelamento de mais de 1,567 bilhão de USDT, e Jeremy Allaire, CEO da Circle, o de mais de 800 milhões de USDC, em coordenação com autoridades policiais. Pela contagem da TRM até as 21h30 de quinta-feira, os bloqueios somavam cerca de 1,77 bilhão de USDT e 825 milhões de USDC, além de 40,5 milhões de RLUSD, da Ripple, 27,8 milhões de USD1, da World Liberty Financial, e cerca de US$ 30 milhões em ETH e ARB congelados pelo Conselho de Segurança da Arbitrum.
Os bloqueios incluem apenas tokens cujos emissores mantêm controle centralizado. Antes dos congelamentos, o hacker vendeu cerca de 325 milhões de USDT a formadores de mercado pelo UniswapX, sistema de ordens da corretora descentralizada Uniswap, por aproximadamente 122.300 ETH, cerca de 10% abaixo do preço de mercado, segundo a TRM. No protocolo de empréstimos Aave, depositou 60 milhões de USDT como garantia e tomou cerca de 19.760 ETH, o que levou o Aave a congelar os mercados afetados.
O atacante mantém mais de 420 mil ETH e 18.270 BTC, cerca de US$ 2,4 bilhões fora do alcance de qualquer emissor, segundo a TRM. Os endereços são monitorados pela Arkham.
Binance promete cobrir perdas com o SAFU e recursos própriosÀs 21h04 de quinta-feira, a cofundadora e co-CEO Yi He escreveu no X que "a Binance vai cobrir todas as perdas do ataque". A nota oficial publicada duas horas depois especificou a origem dos recursos: o SAFU e o próprio caixa da empresa.
Criado em 2018, o SAFU guarda cerca de US$ 1 bilhão em Bitcoin. Foi com ele que a Binance cobriu o roubo de 7 mil BTC, então cerca de US$ 40 milhões, em maio de 2019. Antes do ataque, a corretora mantinha cerca de US$ 144 bilhões em ativos na plataforma, segundo o DefiLlama; os US$ 6,3 bilhões estimados equivalem a cerca de 4,4% desse total.
A Binance 14, carteira esvaziada no Ethereum, constava do relatório de prova de reservas divulgado em 1º de outubro. Na data, a corretora mantinha exatamente o volume de Ether devido aos clientes, índice de reservas de 100%. Os cerca de 204,5 mil ETH retirados representam aproximadamente 5,6% dessas reservas. A Binance informa na nota que publicará uma prova de reservas atualizada ao fim das investigações.
À 1h17 desta sexta-feira, Yi He informou que os saques devem ser retomados em até 48 horas, depois de melhorias no serviço de saques e nos controles de endereços, e que os depósitos funcionam normalmente. Na atualização mais recente, a Binance manteve a previsão de retomada dos saques em 45 horas.
Ataque ocorre na véspera do prazo do Banco Central para corretoras no BrasilO ataque ocorreu no último dia da migração das contas de clientes brasileiros para a Binance Brasil Corretora de Câmbio e Valores Mobiliários, instituição autorizada pelo Banco Central (BC). Nesta sexta-feira (30) termina o prazo para que prestadoras de serviços de ativos virtuais já em atividade no país peçam autorização ao BC, previsto na Resolução BCB nº 520. A Binance protocolou em 23 de outubro o pedido da BBrasil, sociedade prestadora de serviços de ativos virtuais (SPSAV) criada para a transição.
De acordo com a corretora, a custódia dos ativos virtuais de clientes brasileiros fica com a Nest Clearing and Custody, regulada pela FSRA (Autoridade Reguladora de Serviços Financeiros do Abu Dhabi Global Market).
Liquidações somam US$ 1,54 bilhão em 24 horasAs liquidações de criptoativos somaram US$ 627,7 milhões na primeira hora após o ataque, 97% delas em posições compradas, segundo dados da CoinGlass. Em 24 horas até as 4h33 desta sexta-feira, o total chegou a US$ 1,54 bilhão, com cerca de US$ 1,30 bilhão em posições compradas e cerca de 239 mil traders liquidados.
O Bitcoin, cotado a US$ 80.327 às 17h15 de quinta-feira, antes do ataque, chegou a US$ 76.320 na madrugada e era negociado a US$ 77.375 às 7h da sexta-feira, 30, em queda de 3% em 24 horas, de acordo com dados da CoinGecko. O BNB, token da Binance, que caiu a US$ 692 na noite de quinta, era cotado a US$ 702,45, em queda de 4,2% em 24 horas, também segundo a CoinGecko.
Em relatório enviado a clientes em 22 de outubro, Alex Thorn, chefe de pesquisa da Galaxy, afirma que o mercado de baixa do Bitcoin terminou em 30 de junho e que desde então o ativo entrou em fase de acumulação. A tese se apoia na recuperação da média móvel de 50 semanas em setembro, depois de 44 semanas abaixo dela. A mínima desta madrugada ficou 6,2% abaixo dos US$ 81.391 que serviram de preço de referência ao relatório. No X, avaliando os impactos do ataque, Thorn comentou:
Leia Também"O Bitcoin está despencando com a notícia desta noite, negociado por cerca de US$ 76,8 mil enquanto escrevo. A média de 50 semanas está em US$ 76,1 mil. A invalidação da tese deste relatório exige um mês abaixo da média de 50 semanas sem recuperação, e eu disse que quedas abaixo dela poderiam acontecer. Mas a média de 50 semanas continua sendo o nível-chave a observar."